太平洋時間10月29日午前2時27分、AI 開発で最も信頼されているツールのひとつの新バージョンが、Cursor の拡張機能マーケットプレイスで公開されました。正しい名前、Anthropic の Claude Code を名乗り、もっともらしいバージョン番号 2.1.313 が付いていました。自動更新を有効にしていた開発者は、いつもの更新と同じようにそれを受け取りました。何の判断もなく、静かに。
それは Anthropic のビルドではありませんでした。Cursor は Anthropic が開発したものではないと述べ、Anthropic は自社のシステムは侵害されていないと述べました。Cursor の開示によれば、改ざんされたバージョンは太平洋時間午後1時35分までの約11時間にわたって配信され、最大5,000人のユーザーに届きました。公開された分析は、その中身を次のように説明しています。本来は正規のコードの前にローダーが組み込まれており、アシスタントが通常どおり動作し続ける一方で、ペイロードが攻撃者の管理する SSH 鍵（ラベルは「svc-telemetry」）をマシンの認可済み鍵に追加していました。攻撃者のサーバーへのリバーストンネルや、拡張機能をアンインストールしても残る永続化の仕組みについても報告されています。
Cursor はパッケージを取り下げ、調査のあいだマーケットプレイスを停止しました。しかし、その時間枠はすでに役目を果たしていました。Cursor は、拡張機能をアンインストールしてもバックドアは除去されない可能性があると警告しています。11時間で十分だったのです。
実際に何が失敗したのか
個別の事情を取り除けば、失敗は単純です。ツールのアイデンティティは名前とバージョン文字列でしかなく、リポジトリへのアクセス権、クラウドの鍵、デプロイの認証情報を持つ何千台ものマシンでそのビルドが実行される前に、ビルドを公開者と照合して検証するものは何もありませんでした。
名前は主張です。バージョン番号も主張です。10月29日、その両方の主張が偽りでした。そしてチェーン全体（マーケットプレイス、自動更新、開発者のワークステーション）が、それを額面どおりに受け入れました。主張を額面どおりに受け入れることこそが、今日のツールサプライチェーンの仕組みだからです。
AI エージェントを構築または利用しているなら、これは見覚えのある話のはずです。当社が MCP エコシステムで毎日測定している失敗の系統そのものです。信頼されたサーバーの名前を保ったまま、その下のコードの持ち主が替わる掲載。バージョンを上げないまま、説明と挙動がひそかに書き換えられるツール。レビューされた内容から逸脱していくパッケージ。Cursor の事件は、エージェントのツールではなく開発者のマシン上で起きた同じ失敗です。誰もコンテンツをアイデンティティに固定しておらず、重要な瞬間に誰も確認しませんでした。
従来のセキュリティが見逃す理由
従来のプレイブックは、サプライチェーンがレビューできるくらい長く静止していることを前提にしています。こちらではベンダー評価、あちらではマーケットプレイスの評判、そしてチームが使うツールの年次レビュー。しかしツールのサプライチェーンはいまや毎日変化します。新しいサーバー、新しいバージョン、静かな編集。その一方で、エージェントや自動更新の仕組みはそこから絶えず取得し、取得したものを実際の権限で実行しています。それらのマシン上のエンドポイント保護は、信頼されたチャネルが正面玄関から更新を届けるのを見守っていました。それを止められたはずのチェックは、最初からエンドポイントのチェックではありませんでした。それはアイデンティティのチェックであり、存在していなかったのです。
ツールが名乗るものと、証明できる実体とのあいだのギャップ。それこそが、Redthread が埋めるために創業した層です。
Redthread はどう戦うか
当社の Agentic Trust & Protection Platform（ATPP）は、率直な前提から出発します。名前ではなく、ビルドを検証する。当社は MCP レジストリ全体の日次署名付きスキャンを実行しており、最新のスキャンは、これが四半期ごとの作業では済まない理由を示しています。11月2日のスキャンでは、公式 MCP レジストリの 55,375 件のサーバーを対象に、1,518 件の掲載すり替え（同じ名前のまま、掲載の背後にあるコードの持ち主が替わったもの）を検出しました。また、2,193 件のツールがバージョンを上げないまま定義を変更しており、2,075 件の掲載が前日のスキャン以降に変化していました。このスキャンは、まさにこの種の事象を捉えるためにあります。信頼された名前に包まれた、検証されていない変更です。
- ビルドに紐付いたアイデンティティ。 ATPP はコンテンツ固定によって暗号学的なエージェントアイデンティティをビルドに紐付けるため、アイデンティティが、発行対象となった正確なコードから離れて独り歩きすることはありません。
- レビュー時ではなく、呼び出し時の検証。 ツールが逸脱すると、失効はその逸脱から、そのツールを信頼するエージェントと委任へと伝播します。
- フィンガープリント化されたツール定義。 各サーバーのツール一覧はハッシュ化されるため、バージョンが変わらないままツールが変わると、ラグプルの手口として検出されます。毎日の署名付きスキャンのマニフェストは公開の Sigstore Rekor 透明性ログに固定されるため、当社の主張も検証できます。
- 行動に移せるシグナル。 合格した公開者には検証可能なバッジが付与され、信頼状態の変化は署名付きイベントとして発行されるため、ゲートウェイ、オーケストレーター、セキュリティチームが数秒で対応できます。プレビュー中の Enforce ゲートウェイは、その検証を呼び出しの経路上にインラインで組み込みます。
- 開発者自身のツール。 10月29日に狙われた領域に対しては、同じくプレビュー中の Claude Code と Cursor 向けのフックが、各 MCP ツールの呼び出しを実行前にサーバーの署名付き主張と照合します。また AIBOM エクスポートにより、マシンに設定されているすべての MCP サーバーの CycloneDX 部品表（BOM）がチームに提供されます。ツールサプライチェーンの推測ではなく、そのインベントリです。
ATPP と並んで、当社のエージェント不要の評価プラットフォームが、ツールが動作する環境をカバーします。無料のセルフサービススキャンは、誰も棚卸ししていなかったシャドーAI や未登録のツールも含めて、AI とツールの利用範囲を、何もインストールせずにマッピングします。検出結果は、再現可能な PoC を伴う実際のエクスプロイトによって検証されます。推測によるスコアではなく、証拠です。CI/CD ゲーティングは、未検証のツールや実証済みの攻撃経路がパイプラインに入り込むのを防ぎ、継続的な再評価がレポート後のドリフトを監視し、結果はエンタープライズのセキュリティレビュー担当者にそのまま渡せる証明書にまとめられます。
当社は自社製品にも同じ基準を課しています。オプションのエンドポイントセンサーは検知のみを行い、ブロックは一切しません。その更新は段階的なロールアウトゲートを通じて配信されます。ホストの 1%、10%、50%、100% のカナリアリングで展開し、いずれかのリングが不健全な状態を返せば自動的に停止します。10月29日の出来事は、無防備な更新チャネルが何をもたらすかを示しています。当社は、その教訓が自分たちにも当てはまるものとして自社のチャネルを構築しました。実際に当てはまるからです。
私たちと一緒に作りましょう
Redthread は本番システムを持つ若い会社であり、それを強化する最も速い方法は、この問題を最初に実感するチームとともに現場で鍛えることです。当社は、2〜3社の創業デザインパートナー枠を募集しています。パイロットは30〜45日間無料です。当社が貴社の環境をスキャンし、ひとつの本番ワークフローにアイデンティティと検証を導入します。そして、次のエンタープライズセキュリティレビューで実際に受け入れられる証拠が手に入ります。創業パートナーは大幅に割り引かれた価格を固定で利用でき、自ら使う製品の形づくりに参加できます。
自分たちで書いていないツールをエージェントが呼び出すなら（実際、呼び出しています）、まずは 無料の環境スキャンから始め、トラストデータを trust.redthreadsec.comで確認したうえで、 私たちと一緒に検証レイヤーを構築しましょう。10月29日は、検証されていない信頼の11時間が何をもたらすかを示しました。次の偽ビルドを迎えるのが、歓迎のマットではなく壁であるようにしましょう。